Sertifika iptali neden işe yaramıyor ve kısa ömür bunu nasıl çözüyor
Özel anahtar sızdığında sertifikayı iptal edersiniz; ama tarayıcı bunu öğrenir mi? Çoğu zaman hayır. Kısalan süreler tam olarak bu boşluğu kapatıyor.
8 Eylül 2026 · 5 dk okuma
İki mekanizma
- CRL (iptal listesi)
- Otorite, iptal ettiği sertifikaların listesini yayımlar (RFC 5280). Liste büyür; istemci indirmezse ya da eskisini kullanırsa iptal görünmez.
- OCSP
- İstemci her sertifika için otoriteye anlık sorgu atar (RFC 6960). Gizlilik (otorite hangi siteye girdiğinizi görür), gecikme ve otoriteye erişilemediğinde ne olacağı sorunları vardır.
- OCSP zımbalama
- Sunucu, otoriteden aldığı imzalı OCSP cevabını TLS el sıkışmasına ekler; istemci otoriteye gitmez. Doğru yapılandırma ister.
Tarayıcılar ne yapıyor
- Çoğu tarayıcı OCSP hatasında bağlantıyı kesmez; yani saldırgan OCSP'yi engelleyebilirse iptal görünmez.
- Chrome, kendi derlediği kısa iptal listelerini (CRLSets) tarayıcıyla dağıtır; her iptal bu listelere girmez.
- Let's Encrypt, 2024'te OCSP hizmetini sonlandıracağını duyurdu ve iptal bilgisini CRL ile sunmaya geçti; CA/Browser Forum kuralları da OCSP'yi isteğe bağlı, CRL'yi zorunlu tutuyor.
Kısa ömür neden çözüm
- Sertifika 47 günde kendiliğinden geçersiz olur; sızan anahtarın kötüye kullanım penceresi en fazla bu kadardır.
- İptal kontrolünün başarısız olduğu durumlar (engellenen OCSP, eski CRL) kısa ömürle önemini yitirir.
- Otomatik yenileme zaten zorunlu olduğundan, iptal sonrası yeni sertifika almak da aynı hattan geçer.
- Bu, SC-081 kararının temel gerekçelerinden biridir.
Kurum için sonuç
- İptal etmeniz gerektiğinde: otoriteye bildirin, yeni anahtar çifti üretin, yeni sertifikayı kurun ve hedefin yeni parmak izini sunduğunu doğrulayın.
- Eski sertifikanın hangi sistemlerde kurulu olduğunu envanterden bulmadan iptal tamamlanmış sayılmaz.
- OCSP zımbalamayı sunucularda açık tutun; otoriteniz OCSP'yi kaldırdıysa CRL dağıtımına geçin.
Sık sorulan sorular
- OCSP kalkarsa iptal nasıl kontrol edilecek?
- Otoriteler CRL yayımlamayı sürdürür; tarayıcılar bunları toplu listelere derler. Uygulama istemcileri için CRL indirme yapılandırılır.
- İptal ettiğim sertifika neden hâlâ çalışıyor?
- İstemci iptal kontrolü yapmıyor ya da eski listeyi kullanıyor olabilir. Kesin çözüm, sertifikayı sunuculardan kaldırıp yeni sertifikayı kurmaktır.
Kaynaklar
Diğer yazılar
Sertifikalarınızı tek yerden yönetin
Envanter, süre takibi, ACME ile yenileme ve doğrulanmış kurulum; kendi altyapınızda.